Falhas do tipo CWE-79

30.306 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2023-53887MEDIUMZomplog 3.9 Cross-Site Scripting Vulnerability via Page CreationEPSS 0.2%CVE-2025-54006MEDIUMWordPress Bold Page Builder plugin <= 5.4.1 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2024-47313MEDIUMWordPress Catch Base theme <= 3.4.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-25009HIGHKibana Cross-Site Scripting (XSS)EPSS 0.2%CVE-2024-45280MEDIUMCross-Site Scripting (XSS) Vulnerability in SAP NetWeaver AS Java (Logon Application)EPSS 0.2%CVE-2026-6996MEDIUMBDCOM P3310D rmon event Tab cross site scriptingEPSS 0.2%CVE-2026-1090HIGHImproper Neutralization of Input During Web Page Generation ('Cross-site Scripting') in GitLabEPSS 0.2%CVE-2021-22503MEDIUMImproper Neutralization of Input During Web Page Generation VulnerabilityEPSS 0.2%CVE-2025-48295MEDIUMWordPress Easy Elementor Addons plugin <= 2.2.5 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2024-10087MEDIUMXSS in iKSORISEPSS 0.2%CVE-2025-4100MEDIUMNautic Pages <= 2.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.2%CVE-2025-64442HIGHHumHub is vulnerable to XSS through its Meta Search componentEPSS 0.2%CVE-2026-85630MEDIUMHTML::FormHandler versions before 0.410002 for Perl render field attributes into HTML without escaping using the process_attrs methodEPSS 0.2%CVE-2026-25581MEDIUMSCEditor affected by DOM XSS via emoticon URL/HTML injectionEPSS 0.2%CVE-2024-55093MEDIUMphpIPAM through 1.7.3 has a reflected Cross-Site Scripting (XSS) vulnerability in the install scripts.EPSS 0.2%CVE-2026-101159HIGHWP Ultimate Review < 2.4.4 - Unauthenticated Stored XSS via Review SubmissionEPSS 0.2%CVE-2025-61681MEDIUMKuno is Vulnerable to Stored XSS Attack via SVG File UploadEPSS 0.2%CVE-2026-103369MEDIUMSocial Share Buttons & Analytics Plugin <= 4.5 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'response' Parameter via gs_update_with_values AJAXEPSS 0.2%CVE-2025-9373MEDIUMPeproDev Branches Map <= 3.0.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-53996MEDIUMWordPress JetSearch plugin <= 3.5.10.1 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%